chore: 完成全量功能迭代与部署准备

- 移除冗余依赖包
- 新增账号禁用校验与用户管理能力
- 新增文档下载与管理页面文件展示
- 新增API文档页面与用户管理前端页面
- 重构时区处理与docker-compose部署配置
- 完善测试用例与项目文档

CLAUDE.md

@@ -103,6 +103,7 @@ QMDSearch/
 | GET | `/api/v1/auth/me` | 当前登录用户信息（脱敏） | Bearer |
 | GET | `/api/v1/auth/users` | 用户列表（脱敏） | Bearer + admin |
 | POST | `/api/v1/auth/users` | 创建用户（重名/非法用户名/弱密码 1001） | Bearer + admin |
+| PATCH | `/api/v1/auth/users/{username}` | 更新用户角色/启用状态（仅 admin） | Bearer + admin |
 | POST | `/api/v1/auth/users/{username}/password` | 重置指定用户密码（成功后清除其全部 session） | Bearer + admin |
 | DELETE | `/api/v1/auth/users/{username}` | 删除用户（清除其 session；禁删自己/最后一个 admin） | Bearer + admin |
 | GET | `/admin` | 管理页面 | 页面登录门禁 |
@@ -113,16 +114,17 @@ QMDSearch/
 
 ## 管理页面
 
-浏览器访问 `/admin`，页面带登录门禁（未登录/token 失效自动回登录卡片；must_change_password 用户先强制改密后方可进入）。单页面含七个区块：概览、文档管理（列表/详情/删除）、文档入库（文本 + 文件上传）、检索测试台、类目列表、API 指南（端点清单 + 在线测试台）、用户管理（仅 admin 角色挂载，含创建/重置密码/删除）。
+浏览器访问 `/admin`，页面带登录门禁（未登录/token 失效自动回登录卡片；must_change_password 用户先强制改密后方可进入）。单页面含八个区块（admin 视角；user 角色无用户管理区块）：概览、个人中心（user 角色默认进入且可见，含账号信息/改密/退出）、文档管理（列表/详情/删除）、文档入库（文本 + 文件上传）、检索测试台、类目列表、API 指南（端点清单 + 在线测试台）、用户管理（仅 admin 角色挂载，含搜索筛选/行内编辑角色与启用状态/弹窗式重置密码与删除）。
 
 ## 认证与用户
 
 会话制认证：登录签发 session token（Redis 持久化，TTL 12h；Redis 不可用时降级为进程内存，重启失效），请求经 `Authorization: Bearer <token>` 携带，鉴权依赖见 `app/api/deps.py`。
 
 - **角色与权限边界**: `admin` 拥有全部权限（含 /auth/users* 用户管理）；`user` 可登录并调用变更类文档端点（入库/上传/删除），访问用户管理端点返回 1006
+- **启用状态与 PATCH 端点**: 用户记录含 `enabled` 字段（默认 true）；admin 可经 `PATCH /auth/users/{username}` 更新角色或启用状态（请求体至少一项字段，空 body 1001；role 非法 1001；用户不存在 1004）。禁用用户时清除其全部 session（旧 token 立即失效 1005），被禁用用户登录拒绝 1005（"账号已禁用"）；最后一个 admin 禁止降级 role 或被禁用（1001）。角色变更不清 session，同一 token 即时反映新角色
 - **初始 admin 引导**: 空库启动时 `bootstrap_admin` 自动创建 admin 账号，随机明文密码仅在启动日志中打印一次（must_change_password=true），首次登录后须先经 POST /auth/password 改密，改密前访问其他端点返回 1006
 - **免登录端点**: 查询类端点（POST /search、GET /documents*、GET /knowledge/*、GET /health）不需要 token
-- **相关错误码**: 1005 未认证或凭证无效，1006 权限不足/首次登录须先改密
+- **相关错误码**: 1005 未认证或凭证无效/账号已禁用，1006 权限不足/首次登录须先改密
 
 ## 编码规范